Entwurf, Stand 21.10.2026 (Version 0.9) — dieser Text wird noch fachlich geprüft und kann sich ändern.

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (AVV)

Gilt für: Joocy Marketing Studio, Joocy Sales Coach, Joocy CRM, Joocy Strategie (app.joocy.business).

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Nutzungsvertrag über die Joocy-Anwendungen (AGB von Joocy, im Folgenden „Hauptvertrag“). Er gilt für alle Tätigkeiten, bei denen Joocy oder von Joocy beauftragte Dritte personenbezogene Daten verarbeiten, für die der Kunde verantwortlich ist.

Auftraggeber („Kunde“): das Unternehmen, das die Joocy-Anwendungen nach dem Hauptvertrag nutzt. Auftragnehmer („Joocy“): Martin Weiss, Einzelunternehmer, handelnd unter „Joocy.ai“, Kolbeplatz 2, 33330 Gütersloh, Deutschland, hello@joocy.ai.

Der AVV wird mit der Zustimmung zu den AGB geschlossen (Klick bei Anmeldung, Demo oder Annahme einer Einladung als Firmen-Admin). Er läuft so lange wie der Hauptvertrag.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

1. Joocy stellt dem Kunden Software für Marketing, Vertrieb, Strategie, Coaching und Online-Kurse als Dienst über das Internet bereit. Die Verarbeitung dient ausschließlich der Erbringung dieser Leistungen.
2. Arten der Verarbeitung: Speichern, Ordnen, Abfragen, Auswerten (auch mit KI), Übermitteln an vom Kunden gewählte Ziele (z. B. Newsletter-Dienst, WordPress), Löschen.
3. Einzelheiten zu Datenarten und betroffenen Personen: Anlage 1.

§ 2 Weisungen

1. Joocy verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisung ist im Hauptvertrag und in der Nutzung der Anwendung durch den Kunden festgelegt (z. B. Starten einer KI-Funktion, Einladen von Teilnehmenden).
2. Weitere Weisungen erteilt der Kunde in Textform an hello@joocy.ai.
3. Hält Joocy eine Weisung für rechtswidrig, weist Joocy den Kunden unverzüglich darauf hin.

§ 3 Vertraulichkeit

Joocy verpflichtet alle Personen, die Zugang zu den Daten haben, auf Vertraulichkeit, soweit sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 4 Technische und organisatorische Maßnahmen

Joocy trifft die Maßnahmen nach Art. 32 DSGVO, beschrieben in Anlage 2. Joocy darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 5 Unterauftragsverarbeiter

1. Der Kunde genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
2. Joocy informiert den Kunden mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform (E-Mail an die Firmen-Admins). Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, darf der Kunde den Hauptvertrag zum Einsatzzeitpunkt kündigen.
3. Joocy schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm im Wesentlichen dieselben Pflichten auferlegt.
4. Dienste, die der Kunde selbst mit eigenem Konto verbindet (z. B. eigenes Newsletter-, CRM-, Mail-, Social-Media- oder WordPress-Konto, eigenes Higgsfield-Konto), sind keine Unterauftragsverarbeiter von Joocy. Für sie gilt das Vertragsverhältnis zwischen Kunde und diesem Anbieter. Joocy übermittelt Daten dorthin nur auf Weisung des Kunden.

§ 6 Drittländer

Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework, oder EU-Standardvertragsklauseln). Die Orte stehen in Anlage 3.

§ 7 Unterstützung des Kunden

1. Joocy unterstützt den Kunden bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), soweit der Kunde diese nicht selbst in der Anwendung erledigen kann.
2. Joocy unterstützt bei Datenschutz-Folgenabschätzungen und bei Meldungen an Aufsichtsbehörden im Rahmen des Zumutbaren.
3. Wendet sich eine betroffene Person direkt an Joocy, leitet Joocy die Anfrage an den Kunden weiter.

§ 8 Meldung von Datenschutzverletzungen

Joocy meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

§ 9 Löschung und Rückgabe

1. Nach Vertragsende löscht Joocy die Daten des Kunden innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Vorher kann der Kunde seine Daten über die Exportfunktionen der Anwendung sichern.
2. Datensicherungen werden im Rahmen der regulären Rotation überschrieben.

§ 10 Nachweise und Kontrollen

Joocy stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten nötig sind. Kontrollen vor Ort sind nach Ankündigung mit angemessener Frist (mindestens 14 Tage) während der Geschäftszeiten möglich; der Kunde trägt die eigenen Kosten.

§ 11 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen geht dieser AVV dem Hauptvertrag in Fragen des Datenschutzes vor.
3. Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.
4. Es gilt deutsches Recht. Gerichtsstand ist Gütersloh, soweit gesetzlich zulässig.

Anlage 1 — Gegenstand der Verarbeitung

Betroffene Personen: Nutzerinnen und Nutzer des Kunden (Admins, Mitarbeitende); Kontakte, Leads, Kundinnen und Kunden des Kunden; Teilnehmende an Kursen und Coachings des Kunden; Personen, über die der Kunde Inhalte erstellt.

Datenarten:

• Konto- und Nutzungsdaten (Name, E-Mail, Rolle, Anmelde- und Nutzungszeitpunkte, IP-Adresse in Server-Logs)
• Inhalte, die der Kunde eingibt oder hochlädt (Texte, Dokumente, Audio- und Videodateien, Bilder)
• Kontakt- und CRM-Daten (Name, E-Mail, Telefon, Firma, Notizen, Verlauf)
• Kursdaten (Einschreibung, Fortschritt, verschlüsselte Notizen, verschlüsselte Selbsttest-Ergebnisse, Fragen an den Kurs-Coach)
• Coaching-Daten (Joocy Journey: Aufnahmen, Transkripte, Protokolle — nur mit Einwilligung der Coachees)

Besondere Kategorien (Art. 9 DSGVO): nicht vorgesehen. Der Kunde weist seine Nutzer und Teilnehmenden an, keine Gesundheits- oder vergleichbar sensiblen Daten einzugeben. Für Coaching-Aufnahmen (Journey) holt der Kunde die Einwilligung der Coachees ein; die Anwendung dokumentiert sie.

Anlage 2 — Technische und organisatorische Maßnahmen (Kurzfassung)

• Zugang: Anmeldung per Passwort oder Einmal-Link; Sitzungen signiert (ES256); Rollen je Firma; Betreiberzugriff nur für benannte Personen.
• Mandantentrennung: jede Firma sieht nur ihre Daten; geprüft in jeder Server-Route und per Row Level Security in der Datenbank.
• Verschlüsselung: TLS bei jeder Übertragung; Datenbank und Speicher verschlüsselt im Ruhezustand; besonders persönliche Texte (Kursnotizen, Selbsttests, Puls-Freitexte, Zugangsschlüssel) zusätzlich mit AES-256-GCM.
• Speicher: private Datei-Buckets, Auslieferung nur über kurzlebige signierte Links nach Rechteprüfung.
• Integrität: Herkunftsprüfung aller schreibenden Anfragen (CSRF-Schutz), Eingabeprüfung, Größen- und Kostendeckel.
• Verfügbarkeit: Betrieb bei Vercel und Supabase mit deren Redundanz und täglichen Sicherungen.
• Prüfung: Sicherheitsreviews vor jeder Veröffentlichung sicherheitsrelevanter Änderungen.
• Löschung: Löschfunktionen in der Anwendung; Aufräumjobs für verwaiste Dateien.

Version 0.9 · Stand 21.10.2026

AGB · AVV · Datenschutz · Impressum